【正文】 防火墻VPN配置場景你是你們公司的網(wǎng)絡(luò)管理員。配置時注意所有的Loopback接口配置掩碼均為24位。[FW1]acl 3000 [FW1acladv3000]rule permit ip source destination [FW2]acl 3000 [FW2acladv3000]rule permit ip source destination 配置分部網(wǎng)絡(luò)到總部內(nèi)網(wǎng)的靜態(tài)路由。[FW1]ike proposal 10 [FW1ikeproposal10]authenticationalgorithm。[FW1]ping PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=253 time=40 ms Reply from : bytes=56 Sequence=2 ttl=253 time=30 ms Reply from : bytes=56 Sequence=3 ttl=253 time=30 ms Reply from : bytes=56 Sequence=4 ttl=253 time=40 ms Reply from : bytes=56 Sequence=5 ttl=253 time=30 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 30/34/40 ms[FW1]ping PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=253 time=70 ms Reply from : bytes=56 Sequence=2 ttl=253 time=60 ms Reply from : bytes=56 Sequence=3 ttl=253 time=70 ms Reply from : bytes=56 Sequence=4 ttl=253 time=70 ms Reply from : bytes=56 Sequence=5 ttl=253 time=60 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 60/66/70 ms[FW2]ping PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=253 time=40 ms Reply from : bytes=56 Sequence=2 ttl=253 time=30 ms Reply from : bytes=56 Sequence=3 ttl=253 time=40 ms Reply from : bytes=56 Sequence=4 ttl=253 time=30 ms Reply from : bytes=56 Sequence=5 ttl=253 time=30 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 30/34/40 ms[FW2]ping PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=30 ms Reply from : bytes=56 Sequence=2 ttl=254 time=30 ms Reply from : bytes=56 Sequence=3 ttl=254 time=30 ms Reply from : bytes=56 Sequence=4 ttl=254 time=30 ms Reply from : bytes=56 Sequence=5 ttl=254 time=30 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet lossroundtrip min/avg/max = 30/30/30 msRRR。實驗之前，請清空S1與S2的配置，并重啟它們。 掌握在Eudemon防火墻上配置GRE over IPSec VPN的方法由于TFTP服務(wù)需要自定義端口號等信息，所以需要單獨創(chuàng)建一條ACL。通過配置ASPF功能，可實現(xiàn)內(nèi)網(wǎng)正常對外提供FTP和TFTP服務(wù)，同時還可避免內(nèi)網(wǎng)用戶在訪問外網(wǎng)Web服務(wù)器時下載危險控件。如果這個速率過快，說明這個源地址極可能在掃描目的地址的所有端口。如果認為某個IP地址對應(yīng)的用戶不可信時，可將該用戶的IP地址加入黑名單，之后當(dāng)設(shè)備收到源地址為該IP地址的報文時，將其予以丟棄，從而達到保護網(wǎng)絡(luò)安全的目的。[R3]ping a PING : 56 data bytes, press CTRL_C to break Request time out Request time out Request time out Request time out Request time out ping statistics 5 packet(s) transmitted 0 packet(s) received % packet loss配置域間包過濾策略，允許Untrust區(qū)域訪問DMZ區(qū)域的特定服務(wù)器。配置區(qū)域之間的缺省包過濾策略，僅允許Trust區(qū)域訪問其他區(qū)域，不允許其他區(qū)域之間的訪問。檢查區(qū)域之間的連通性。 || IPv6acl: null outbound : default: permit。[R1]ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=3 ms Reply from : bytes=56 Sequence=2 ttl=254 time=3 ms Reply from : bytes=56 Sequence=3 ttl=254 time=4 ms Reply from : bytes=56 Sequence=4 ttl=254 time=2 ms Reply from : bytes=56 Sequence=5 ttl=254 time=3 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet loss roundtrip min/avg/max = 2/3/4 ms[R1]ping a PING : 56 data bytes, press CTRL_C to break Reply from : bytes=56 Sequence=1 ttl=254 time=4 ms Reply from : bytes=56 Sequence=2 ttl=254 time=4 ms Reply from : bytes=56 Sequence=3 ttl=254 time=3 ms Reply from : bytes=56 Sequence=4 ttl=254 time=4 ms Reply from : bytes=56 Sequence=5 ttl=254 time=4 ms ping statistics 5 packet(s) transmitted 5 packet(s) received % packet lossroundtrip min/avg/max = 3/3/4 ms防火墻上默認有四個區(qū)域，分別是“l(fā)ocal“、”trust“、”untrust“、”dmz“。學(xué)習(xí)任務(wù)步驟一. 基本配置與IP編址給三個路由器配置地址信息。設(shè)備介紹為了滿足HCDPIENP實驗需要，建議每套實驗環(huán)境采用以下配置：設(shè)備名稱、型號與版本的對應(yīng)關(guān)系如下：設(shè)備名稱設(shè)備型號軟件版本R1AR 2220Version ( V200R001C01SPC300)R2AR 2220Version ( V200R001C01SPC300)R3AR 2220Version ( V200R001C01SPC300)R4AR 1220Version ( V200R001C01SPC300)R5AR 1220Version ( V200R001C01SPC300)S1S570028CEI24SVersion (V100R006C00SPC800)S2S570028CEI24SVersion (V100R006C00SPC800)S3S370028TPEIACVersion (V100R006C00SPC800)S4S370028TPEIACVersion (V100R006C00SPC800)FW1Eudemon 200EX2Version (V100R005C00SPC100)FW2Eudemon 200EX2Version (V100R005C00SPC100)目錄第一章 防火墻特性功能 1實驗 11 Eudemon防火墻安全區(qū)域及其他基本功能配置 1實驗 12 Eudemon防火墻IPSec VPN配置 21實驗 13 防火墻攻擊防范配置 42實驗 14 Eudemon防火墻NAT配置 56實驗 15 Eudemon防火墻雙機熱備份 71第二章 服務(wù)質(zhì)量與流量控制 99實驗 21 QoS基礎(chǔ) 99實驗 22 使用流策略實現(xiàn)流行為控制 119第三章 綜合實驗 135實驗 31 綜合實驗1（選做） 135實驗 32 綜合實驗2（選做） 140第一章 防火墻特性功能實驗 11 Eudemon防火墻安全區(qū)域及其他基本功能配置學(xué)習(xí)目的華為認證協(xié)助您打開行業(yè)之窗，開啟改變之門，屹立在ICT世界的潮頭浪尖！ 前言簡介本書為HCDPIENP認證培訓(xùn)教程，適用于準(zhǔn)備參加HCDPIENP考試的學(xué)員或者希望系統(tǒng)掌握華為安全產(chǎn)品與技術(shù)、可靠性HA技術(shù)、QoS原理以及在華為通用路由平臺VRP上的實現(xiàn)的讀者。華為認證系列教程HCDPIENP提升企業(yè)級網(wǎng)絡(luò)性能實驗指導(dǎo)書 141 / 152華為認證體系介紹依托華為公司雄厚的技術(shù)實力和專業(yè)的培訓(xùn)體系，華為認證考慮到不同客戶對ICT技術(shù)不同層次的需求，致力于為客戶提供實戰(zhàn)性、專業(yè)化的技術(shù)認證。華為認證系列教程HCDPIENP提升企業(yè)級網(wǎng)絡(luò)性能實驗指導(dǎo)書華為技術(shù)有限公司版權(quán)聲明版權(quán)所有 169。本文檔提及的其他所有商標(biāo)或注冊商標(biāo)，由各自的所有人擁有。HCIEEnterprise（Huawei Certified Internetwork ExpertEnterprise，華為認證互聯(lián)網(wǎng)絡(luò)專家）旨在培養(yǎng)能夠熟練掌握各種IP網(wǎng)絡(luò)技術(shù)；精通華為產(chǎn)品的維護、診斷和故障排除；具備大型IP網(wǎng)絡(luò)規(guī)劃、設(shè)計和優(yōu)化的IP網(wǎng)絡(luò)大師。每套實驗環(huán)境適用于2名學(xué)員同時上機操作。你設(shè)計通過防火墻來實現(xiàn)對數(shù)據(jù)的控制，添加黑名單來防范網(wǎng)絡(luò)攻擊，確保公司內(nèi)部網(wǎng)絡(luò)安全。[R1]ip routestatic 0 [R2]ip routestatic 0 [R3]ip routestatic 0 [FW]ip routestatic 24 [FW]ip routestatic 24 [FW]ip routestatic 24 配置完成后，測試各路由器Loopback0接口連接的網(wǎng)段之間的通訊情況。 || IPv6acl: null local dmz : inbound : default: permit。 || IPv6acl: null packetfilter between VFW:由以上顯示的內(nèi)容看出，缺省情況下，所有安全區(qū)域間的所有方向都允許報文通過。R3ping a PING